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ffierbij wordt verklaard, dat in Nederland op 8 juli 2003 onder nummer 1023861, 
ten name van: 

Pieter Gerard MACLAINE PONT 

te Wijckel en 

HOOGHEEMRAADSCHAP VAN RIJNLAND 

te Leiden 

een aanvrage om octrooi werd ingediend voor: 

"DES virtueel stembiljet: Elektronisch netwerk verkiezingssysteem met virtueel stembiljet op 

basis van een symmetrisch cryptografisch algoritme, zoals DES, 3DES of AES", 

en dat de hieraan gehechte stukken overeenstemmen met de oorspronkelijk ingediende stukken. 



Rijswijk, 30 juli 



De Directeur van het Bureau voor de Industriele Eigendom 
voor deze, ' 




D.L.M. Brouwer 
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Het DES virtueel stembiljet systeem is een Eiektronisch verkiezingssysteem, voor het 
houden van verkiezingen via openbare netwerken, op basis van ©en virtueel stembtljet 
5 dat met behulp van een symmetrisch cryptograJfisch algoritme (DES, 3 DES of AES) 
wordt gecre&crd. 

ledere kiezer ontvangt vooraf een persoonlijke, geheime cryptografische sleutel Kp 
(of twee geheime waarden, waaruit na intikken zo'n sleutel kan worden berekend) en 

1 0 brengt zy n stem uit door daarmee de MAC te berekenen van de verkiezingsidentiteit 
en kandidaat van zijn keuze. Vooraf worden in een vertrouwelijk en besloten proces 
deze sleutels berekend en gereed gemaakt voor veilig transport en wordt een uitslag 
referentiebestand berekent, door voor iedere kiezer met diens Kp iedere tnogelijk uit 
te brengen stem te berekenen en daarover een MDC berekening toe te passen. Dit 

1 5 uitslag referentiebestand wordt vooraf gepubliceerd. 

De kiezer brengt zijn stem uit door zftn PC Internetbrowser, zijn smarteaxd of de SIM 
kaart in zijn GSM telefoon met zijn Kp een MAC te laten berekenen over de 
identiteiten van de verkiezing en zijn keuzekandidaat. Deze twee waarden vormen 
20 zijn virtuele stemhiljei en worden door hem langs betrouwbare en vertrouweiijke weg 
bij het stembureau ingeleverd. Daar blij ven alle virtuele stembiljetten vertrouwelijk 
tot na sluiting van de verkiezingen. Wei heeft ontvangstverificatie plaats. Ookper 
post kunnen eventueel Poststembiljetten worden ingezondan, die herleid kunnen 
worden tot een zelfde soort virtueel stembiljet 



Na afloop worden alle ontvangen virtuele stembiljetten gepubiiceerd. Iedereen kan 
zelf de uitslag berekenen of kijken of zijn stem is meegeteld, Daaxmee is een 
eenvoudig en betrouwbaar verkiezingssysteem mogelijk. 
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Strlkt vertrouwelijk 1 DES virtueel stembtljet 

102 3861 

Indiening aanvrage om octrooi DES virtueel stembiljet 
(versie 1.0) 

5 

Aanvrager (tevens uitvlnder): 

Maclaine Pont, Pieter Gerard; vennoot van MullPon vof 
Lynbaen 9 
10 8563 AZ Wijokel 
Nederland 

i 

Telefoon: 0621 233 982 Fax: 0514 605 945 

1 5 Verdere aanvrager (alleen aanvrager) : 

* 

Hoogheemraadschap van Rijnland 
Bouwman, Simon " 
Archimedesweg 1 
20 2333 CM Leiden 
Nederland 



Korte aanduidlng 

25 

DES virtueel stembiljet: Elektronisoh netwerk verkiezingssysteem met 
Stembtljet op basis van DES, 3DES of AES. 



B. v. d. I.E. 
- 8 JUL! 2003 



30 



Korte beschrijvlng 



Elektronisoh verkiezingssysteem, voor het houden van verkiezingen, referenda of 
belangrtfke opinieonderzoeken via openbare netwerken, zoals Internet, digitaal 
telefonie of GSM netwerk, op baai* van een virtueel stembiljet dat met behulp van een 
symmetrisoh cryptograf.sch algoritme, zoals DES, 3DES of AES wordt gecreeerd. 
35 De belangrijkste beveiHgingen en cryptografisohe bewerkingen voor de kiezer hangen 
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Strikt vertxouweUjk 2 DJES virtueel stembiljet 

somen met de gebruikte techniek blj de verkiezing. Ze warden - al naar gelang - 
uitgevoerd door zijn Internet browser, de SIM-kaart in zijn GSM telefoon of sen in 
zijn bezit zijnde smartcard, 



5 Beschhjving 

I let hier beschreven elektronisch verkiezingssysteem is een uitbreiding op door het 
door Herman Robers in december 1998 onder mijn leiding en begeleiding als 
afstudeerscriptie aan de Technische Universiteit Delft besohreven verkiezingsprotocol 
1 0 "Electronic elections employing DES smartcards**. 

Onder verkiezing of verklezingeh wordt hierna verstaan: een vorm van 
opinieonderzoek (goals een openbare verkiezing voor een overheidslichaam of een 
referendum), waaraan aileen vooraf geregistreerde personen (kiezers) mogen 

1 S deelnemen, waarbij hun opinie of keuze (hierna aangeduid als stem) gevraagd wordt 
uit vooraf volledig publiek gemaalcte tekst (te kiezen kandidaten of referendumtekst, 
hierna aangeduid als kandidatenlifst), waarbij de door hun afgegeven stem 
vertrouwelijk is en vrijwillig kan worden ingediend gedurende een beperkt 
tijdsperiode (hierna aangeduid als verkiezingsvenster) bij een vooraf aangekondigde 

20 vertrouwde partij, waarby iedere door een kiezer ingediende stem tenminste en 
maximaal 66nmaai telt en waarbij de uitslag van het onderzoek publiek is en door 
onaihankelijke derden te controleren dient te zijn. 

Een elektronisch verkiezingssysteem via een openbare network is een systeem, dat 
25 een kiezer in staat stelt deel te nemen aan een vetkiezing op een door hem zelf tc 
kiezen plaats, van waaruit hij met de daartoe benodigde apparatuur via een openbaar 
netwerk zijn stem kan uitbrengen. Zo'n systeom zal hierna worden aangeduid als 
elektronisch verkiezingssysteem, 

■ 

30 Bij een verkiezing met een elektronisch verkiezingssysteem onderscheiden we de 
volgende partijen en functies: 

* 

» ■ 
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Centrale verkieztogsconuiussie: een openbare, daaitoe ingestelde partij, die de 
voor de elektronische verkiezingen noodzakehjke voorbereidingen treft, 
waaronder 

o De vaststelling en publicatie van een kiezersregister (waarin vastligt 

welke kiezers aan de verkiezing mogen deelnemen) 
o De vaststelling en publicatie van de taformatie waarover de opinie of 

keuze van de kiezer gevraagd (de kandidatenlifsf) 
o De organiaatorische en teohnische voorbereiding van de elektronische 
verkiezingen, waaronder net voorzien van alle kiezers van specifleke 
infonnatie, die het hun mogelijk moet maken veilig en anoniem aan de 
elektronische verkiezingen deel te nemen, zoals bijvoorbeeld 

■ Een document met een anonieme identiteit om aan deze 
verkiezing mee te mogen doen (zijn Verkiezing Pseudo 
Identiteit of VPID) en een geheim wachtwoord (PW) of 

■ Een geheime, persoonlijke sleutel Kp voor iedere individuele 
kiezer, die op veilige wljze geladen wordt op diens. smartcard of 
SlM-kaart van zijn GSM telefoon 

■ De daartoe noodzakelijke regelingen en afspraken met derde 
partijen, zoals dienstverleners, telecommunicatiebedrijven en 

anderen 

o De vaststeUing en publicatie van alle informatie die noodzakelijk is om 
op veilige en betrouwbare wijze het resuttaat van de verkiezingen te 
kunnen vaststellen 

. Kiezer (hiervoor teeds gedefinieerd), in het bezit van een instrument om aan 
de elektronische verkiezing mee te doen, zoals bijvoorbeeld: 

o Een document met een anonieme identiteit om aan deze verkiezing 

mee te mogen doen (zijn Pseudo Verkiezing Identiteit of VPID) 
o Een persoonlijke smartcard (zoals bijvoorbeeld zijn Studentenchipcard, 
een hem door de ovetheid verstrekte identiteit smartcard, of een hem 
door zijn bank verstrekte smartcard) 
o De smartcard (SIM) in zijn persoonlijke GSM telefoon 
. Stem Unit (apparaat waarmee de kiezer zijn stem kan indietten, bijvoorbeeld: 
o Zijn PC met Internet browser 
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Striktvertrouwelijk 4 DES virtueel stembitjet 



o Zijn PC met smattoardlezer 
o Zijn GSM telefoon 

• Stembureau (of wel de Stemverwerkitig centrale): de instantie waar de kiezer 
zijn stem via een netwerk moet indienen tijdens het verkiezlngsvenster 

S • Toezichthoudend en controlerend orgaan: een openbaar en van de 

verkiezingen volledig onafhankelijk orgaan, belast met het toezicht op de 

vetkiezing 

• Terugvalsy steenv. syateem dat in geval van een storing (of andere vorm van 
intemiptie) die deelname door de kiezer aan de verkiezing onmogelijk maakt, 

10 deze tooh in staat stelt op andere wijze (bijvoorbeeld per post) zijn stem uit te 

brengen. 

Bij een verkiezing met een elektronisch verkiezingssysteem onderscheiden we de 
volgende fasen: 

IS 

• Voorbereidingsfase 

a Centrale verkiezingscommissie stelt het volgende samen: 

• Verkiezingsnaam of -4dentiteit (EUD) 

• Kiezersregister (dat bevat de kiezers VI.. . Vn) 

20 • Publicatie daarvan en mogelijke aanpassingen door de kiezer 

• Kandidatenlijst (dat bevat de kandidaten CI... Cm) 

• Na vaststelling en bevriezing van kiezersregister en 
kandidatenlijst in een afgeschermd, vertrouwelijk proces: 

• Per kiezer de generatie van Kp of VPID en PW (in dat 
25 geval is Kp - functie {VPID, PW } ) 

• Berekenen van een veilig transportvorm van Kp (of 
VPID en PW) naar de kiezer 

o Ingeval Kp door cryptografische veroijfering 
onder een transportsleutel KEKt, die uitsluitend 
transport naar en laden van Kp in de smartcard 
of SIM van de kiezer mogelijk maakt 
o Ingeval VPID en PW door productie van een 
verzenddocument in gesloten enveloppe, waarbij 

* 

m 
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identiteit en adres van de kiezer alleen buiten op 
de enveloppe staat en VPID en P W, samen met 
algemene informatie over de verkiezing, zich 
binnen de enveloppe bevindt Dit document kan 
eventueel dienen als stembiljet voor een 
terugvalsysteem per post; et wordt hierna aan 
gerefereerd als Poststemblljet* Op dit 
PosMemhlljet zijn VPID, PW en ElID ook in 
machineleesbare vorm gecodeerd en is een lijst 
van alle kandidaten vertneld met de 
mogelykheid er 66tx als stem te kunnen 
markeren, 

• Berekening van een uitslag referentiebestand en wel als 
volgt: 

o Voor iedere kiezer wordt een reference uitslag 
- - berekend RnPotVote 

o Per kiezer n bestaat RnPotVote uit 

r • Een kiezers teferentie identiteit RnPID = 
MDC [DESmac (Kp, ftinctie {ElID}] 

■ Voor iedere kandidaat m uit de 
kandidatenlijst een referentie record 
RnCm = MDC [DESmac (Kp, functie 
{Cm, ElID}] 

* Transport naar buiten het afgeschermde, 
vertrouwelijke proces van 

• Het uitslag referentie bestand 

• De veilig transportvorm van Kp 
(of VPID en PW) voor transport 

* 

naar de kiezer 

■ Het wissen van alle vertrouwelijke, 
kiezersgerelateerde informatie 
(waaronder Kp (of VPID en PW)), dan 
wel opslag daarvan onder een uitsluitend 

« 
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Strikt verttouweiijk 6 DES vtrtueel stemblljet 

aan het Toezichthoudend en controlerend 
orgaan bekende cryptografische sleutel 
KEKctrl 

■ MDC staat voor een cryptografische hash 
S ftmctie, zoals de op DES gebaseerde 

Modification Detection Code 

■ DES staat voor een symmettisch 
cryptografisch algoritme, zoals DES, 
3DES of EAS 

10 ■ DEStoac staat voor een Message 

Authentication Code berekening met een 
symmetrisch cryptografisch algoritme, 
zoals de in ANSI gestandaardiseerde 

« 

MAC met DBS 

15 • Het veilig verzenden van Kp of het Poststembiljet naar de juiste 

ki ezer " ~ * — ' - - - 

• Publicatie (via een publiek netwerk) voor de start van de 
verkiezing van 

• De identiteit van de te houden verkiezing (E1ID) 
20 • Het bevroren kiezersregister 

• De vastgestelde kandidatenlijst 

• Het referentie uitslagbestand RnPotVoto voor alle 
kiezers 

■ Dij gebruik van GSM telefoons: automatische installatie bij alle 
25 kiezers van de noodzakelijke extra functionaliteit voor 

stemberekening in hun GSM telefoon (m,b,v. SIM Tool Kit 
functionaliteit) 

o De kiezer stelt (tijdig) vast of hij daadwerkelijk en correct in het 
kiezersregister is opgenomen, of hij vooraf de beschikking krijgt over 
30 de informatie (Kp of VPID en PW, de kandidatenlijst en de E1ID) en 

middelen (afhankelijk van het geboden systeem: PC browser, 
smartcardlezer, smartcard, correcte versie SIM en GSM telefoon), 
noodzakelijk om aan de verkiezing deel te nemen 

* 
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o Het Stembureau (of wel de Stemverwerking centrale) installeert een 
aantal netwerkservers om tijdens de verkiezingen de stem van iedere 
kiezer te kunnen ontvangen en wel zodanig, dat de toekomstige 
verbinding met de Stem Unit van iedere kiezer zal worden beschertnd 
5 met SSL (of een vet gelijkbaxe techniek bij gebruik van SMS via GSM 

telefoons), waarbij de kiezer eveneens eenduidig zal kunnen vaststeilen 
werkelijk zijn stem bij het Stembureau in te leveren; tevens installeert 
het Stembureau het uitslag refeientiebestand. Daarnaast voorziet het 
Stembureau in mogelijkheden om de belasting en het gebruik van het 
1 0 netwerk tussen de Stem Units van klezers en het Stembureau te 

kunnen bewaken. Daarnaast installeert het Stembureau een aparte 
Stemontvangst bevestigingserver, die aan hetzelfde netwerk is 
verbonden en ook alleen via SSL toegang van kiezers toestaat. 
o Het Toezichthoudend en controlerend orgaan controleert 
1 5 steekproefsgewijs en via klaohtprocedures of dc kiezer vooraf van de 

juiste informatie is voorzien 
o Het Toezlchthoudend en controlerend orgaan en ieder ander controleert 

of omvang en structuur van het referentie uitslagbestand 
overeenkomen met het kiezersregister en de kandidatenlijst 
20 • Het verkiezingenvenster zelf 

■ 

o De kiezer (n) zelf 

• Stelt vast wat de identiteit van de verkiezing is (EllD) 

• Bepaald zijn keuze op grond van de publieke kandidatenlijst 
(Cx) 

25 • Maakt met zijn Stem Unit verbinding met het Stembureau 

• Overtuigd zich ervan dat aan de andere zijde van het netwerk 
werkelijk het stembureau aanwezig is en de verbinding is 
beveiligd (standaardfuncties van SSL) 

• Afliankelijk van zijn Stem Unit: 

30 • Bij een PC browser, al dan niet in combinatie met een 

smartcard: ontvangt automatisch als onderdeel van een 
normale webpagina de noodzakelijke functionaliteit 

voor het berekenen van zijn stem 

* 

« 
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Strikt vertrouwelijk 8 DES virtueel stembiljet 

* 

• Bij een GSM telefoon: schakelt het vooraf ontvangen 
SIM Tool Kit programma in om deel te nemen aan deze 
verkiezing 

• Geeft zijn keuze voor Cx aan zijn Stem Unit. Zijn Stein Unit 

S berekent zijn stem, die uit de volgende twee elementen bestaat 

en zo samen zijn virtuele stembiljet vormen; 

• zijn kiezers identiteit VnPID = DESmac (Kp, functie 
{EUD} 

• zijn specifieke keuze voor kandidaat Cx: VnCx = 
J 0 DESmac (Kp, functie {Cx, EUD) 

• Zorgt dat zijn Stem Unit zijn virtuele stembiljet daadwerkeiijk 
doorgeeft aan het Stembureau door aankliklcen van de juiste 
functie of intoetsen van de juiste toets 

• Controleert of zijn virtuele stembiljet is aangekomen, door te 
15 — .- kijken op de Stemontvangst bevestigingserver; is dat zo» dan is 

hij zeker dat zijn stem tijdig is uitgebracht (zijn stemunit 
berekent RnPID = MDC (VnPID), die weer gelijk is aan MDC 
[DESmac (Kp, functie {EUD}], en kijkt of dezeifde RnPID op 
de Stemontvangst bevestigingserver aanwezig is); hij bewaaxt 
20 een door de Stemontvangst bevestigingserver voor hem 

berekende kwitantie (Sign (Kconf, RnPID) ) 

• Herhaalt bij twijfel of storingen van het proces of enig 
onderdeel daarvan zijn stemprocedure als hiervoor beschreven 

• Stemt eventueel bij onmogelijkheid dit via het netwerk te doen 
25 per post met behulp van zijn Poststembiljet 

• Weet, dat bij het meermalen indienen van zijn virtuele 
stembiljet deze als 6£n teit als alien voor dezeifde kandidaat Cx 
zijn uitgebracht en als ongeldig als ze voor verschillende 
kandidaten zijn uitgebracht 

30 o Stembureau (of wel de Stemverwerking centrale) 

■ Vervult dc rol in de communicatie met de kiezer als hiervoor 
beschreven 
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Strikt vertrouwelijk 9 DES vtrtueel stembiljet 

* Ontvangt ieder virtuele stembiljet als vertrouwelijke informatie, 
ontdoet deze van iedete tijd- en netwerkinformatie, berekent 
RnPID = MDC (VnPID), geeft RnPID door aan de 
Stemontvangst bevestigingserver en slaat het virtuele stembiljet 
5 zelf als vertrouwelijke informatie op in een vertrouwelijk 

Ontvangen Netwerk Stemmen bestand 
■ Zorgt dat de Stemontvangst bevestigingserver voortdurend alle 
ontvangen RnPID's na een (kort) tijdsinterval publiceert en 
kwiteert bij opvragen 

10 ■ Verwerkt de (tijdig) binnengekomen Poststembilj etten met 

dezelfde berekening als die voor de elektronisch uitgebrachte 
stemmen, voegt deze poststemmen toe aan een vertrouwelijk 
Ontvangen Post Stemmen bestand 
o Het Toeziohthoudend en controlerend orgaan stelt vast of het 
1 5 Stembureau zijn taken correct vervult en bereikbaar is voor alle kiezers 

" ' o De Centrale verkiezmgscdmmisste 

het verklezingsvenster zelf 



20 • Uitslagfase 

o Het Stembureau (of wel de Stemverwerking centrale) 

* Sluit de toegang tot het Ontvangen Netwerk Stemmen bestand 
aan het eind van de verkiezingen en publiceert dit 

■ Sluit de toegang tot het Ontvangen Post Stemmen bestand aan 
25 het eind van de verkiezingen of de tijdige inzendtermijn en 

publiceert dit 

■ Publiceert statistische informatie over ontvangen stemmen* 
kiezers, RnPID's en Poststembiljetten 

o De Centrale verkiezingscommissie (en ieder ander) 
30 ■ berekent mi de uitslag als volgt: 

• Voegt alle stemmen in de Ontvangen Post Stemmen en 
Ontvangen Netwerk Stemmen bestanden bij elkaar en 
rekent al deze stemmen om naar Ontvangen Stem 

* 
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Strikt vertrouwelijk 1 0 DES virtueel stembiljet 

referenties RnRecVote* door ieder virtuele stembiljet 
om te rekenen volgens de berekening RnRecVote «= 
[MDC (VnPID)] // [MDC (VnCx)] 

• Ontdubbelt (dezelfde RnPID en RnCx corabinatte komt 
meerdere malen voor) en verwijdert ongeldige stemmen 
(twee of meer RnPID*s met verschillende, op zich 
geldige RnCx combinatie's komen voor) 

• Zoekt in bet uitslag referentiebestand met RnRecVote 
de daar aanwezige RnPotVote gegevens op en bepaalt 
zo voor welke Kandidaat deze stem telt 

• Komen RnVID en/of RnCx van een RnRecVote niet 
voor in het uitslag referentiebestand, dan telt de stem 
niet mee 

» Pnbliceert de verkiezingsuitslag en start daar mee de uitslag 

- . berpep^ermijn (om kiezers en derden in staat te stellen de 

uitslag zelf te berekenen en daarna eventueel protest aan te 
tekenen) 

■ Ontvangt tijdens de uitslag beroepstermijn klachten van kiezers 
over door hun uitgebrachte stemmen die niet voorkomen in de 
Ontvangen Stemmen bestanden, terwijl ze wel over een geldige 
kwitantie van de stem bevestigingserver beschikken 

• Verklaart de uitslag als correct na afloop van de uitslag 
beroepstermijn, indien geen geldige klachten zijn 
binnengekomen 

• Verklaart de uitslag als ongeldig na afloop van de uitslag 
beroepstermijn, indien geldige klachten zijn binnengekomen 
(de verkiezingen zullen opnieuw moeten worden gehouden) 

o De kiezer zelf controleert - desgewenst - of zijn stem* waarvoor hij een 
kwitantie heeft ontvangen, daadwerkelijk voorkoml in de 
gepubliceerde Ontvangen Stemmen bestanden; indien onjuist, dan 
dient hij een klacht in 
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o 



o 



Derden en de kiezer zelf controteren de uitslagberekening met behulp 
van de gepubliceerde informatie; indien onjuist, dan dienen zij een 
klacht in. 

Het Toezichthoudend en controlerend orgaan 



5 



« Controleert de berekeningen van het stembureau op correctheid 
en plausibiliteit 



• Controleert de juiste afwikkeling van de klachten tijdens de 
uitslag beroepstermijn 



10 



■ Verklaart op grond daar van of een door de Centrale 
verkiezingscommissie correct bevonden uitslag ook 
daadwerkelijk bindend is, 



Toevoegingen 

15 • *De Stemontvaiigstbevestigi^se^er maskeert de vraag van iedere kiezer om 

anonimiteit te garanderen: geeft groepehTRiiPID's op ieder verzoek-Lp.v. &6n 
spccifieke RnPlD 

• Test voor het verkiezingsvenster door de kiezer van zijn faciiiteiten m.b.v. een 
teststem, te controleren door hemzelf met het vooraf gepubliceerde uitslag 
20 referentiebcstand 



• Asymmetrisch sleutelgebruik van geheime DES of 3DES transportsleutels en 
KEKctrl kan worden toegepast op basis van de Control Vector architectuur 
voor DES van IBM Corporation of een vergelijkbare oplossing. Daarmee 
kuntien risico's over het in verkeerde handen raken van Kp aanzienlijk worden 
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Z>£S virtueel stembiljet 
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3. 



Conclusies 

1 . Relatief eenvoudig verkiezingssy steem, dat volledig is te realiseren binnen op 
dit moment op grote sohaal aanwezige technisohe voorzieningen (Internet 
browsers, DBS en 3DES smartcards, OSM telefoons met SIM kaarten die DBS 
en 3DES berekeningen doen en eenvoudig met SIM Tool Kit van nieuwe 
ftincties kunnen worden voorzien), 

2, Verkiezingsprotocol is gebaseerd op bekende, reeds gestandaardiseerde 
cryptograflsche furictionaliteit (MAC en MDC) van een symmetrische 
algor itme. Door toepassing van deze fuacties op een andere wijze, dan tot nu 
voorzien, worden voor dit verkiezingsprotocol ftincties gecre&erd, waarvoor 
normaal publieke sleutel algoritmen toegepast zouden moeten worden. 
Aangezien de laatste technische faciliteiten vereisen, die grootteorden liggen 
boven die voor een symmetrisoh algoritme, is toepassing daarvan binnen de 
huidige infra^ta4cturen praktisch onmogelijk of ongewenst, 
Door de i^^b^Jigie opzet is het systeem geheel aid "store-and-forward" 
systeemop^aStten (via SN1S bij GSM teiefoon of eenvoudige server 
contacted van Internet servers en clients). Daarmee is het systeem 
met eenvoudige middelen op grote sohaal inzetbaar, is extra of reserve 
capaciteit eenvoudig te realiseren en is het systeem inherent ongevoelig voor 
aanvallen of allerlei vormen van misbruik. 

4. Gestemd wordt met behulp van een virtueel stembiljet, dat alieen door de 
keizer zelf kan worden berekend, Het systeem is in staat meerdere virtueel 
stembify'etten van dezelfde kiezer als 6&n stem te herkennen. Daarmee is het 
mogelijk om bp eenvoudige wijze het systeem ongevoelig te maken voor 
storingen of interrupties en mag de kiezer bij twijfei zijn (zelfde) stem 
nogmaals uitbrengen* zelfs met een andere techniek als waarmee hij het de 
eerste maal deed. 

5. Opeubare control e op het verkiezingssysteem is (op grote sohaal) mogelijk, . 

6. Br is een volledige soheiding tussen by de verkiezing betrokken partijen, zoals 
die van organisator, stembureau, eontroleorgaan, kandidaat en kiezer. 

7. Het systeem voldoet aan alle eisen, die daaraan bij verkiezingen voor 
overheidsorgaaen worden gesteld of kan daar op eenvoudige wijze aan 
voldoen. 
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